インターネットバンキングの案内や社内の多要素認証（MFA）の検討で「ハードウェアトークン」という言葉を見かけて、それが具体的に何をする機械なのか、正確なところがつかめずにいる方は少なくありません。手のひらサイズで数字が表示される「あの端末」のことだろうと見当はついても、なぜわざわざ物理的な機械を使うのか、スマートフォンのアプリではだめなのか、という疑問が残ります。
ハードウェアトークンは、ログインのたびに変わる使い捨てのパスワード（ワンタイムパスワード）を生成する専用の物理デバイスです。パスワードが漏れても、その場限りの数字がなければログインできないため、不正アクセスへの備えとして金融機関や企業で長く使われてきました。近年はスマートフォンのアプリで代替する「ソフトウェアトークン」も広がり、どちらを選ぶべきかが判断のポイントになっています。
本記事では、ハードウェアトークンの仕組みと種類、ソフトウェアトークンとの違いを整理し、自社の環境に合う選び方までを解説します。あわせて、AWSやMicrosoft Entra IDといったクラウドの多要素認証での使い方や、ハードウェアトークンを提供・管理できる主なサービスも紹介します。
目次
一括ダウンロードする
ハードウェアトークンとは
ハードウェアトークンとは、ログインのたびに使う一度限りのパスワード（ワンタイムパスワード）を生成する、専用の物理デバイスです。多くはキーホルダー型やカード型で、本体のボタンを押すと液晶画面に6桁の数字が表示され、一定時間ごとにその数字が切り替わります。ネットワークに接続せず、デバイス単体で数字を生成する点が特徴です。
表示される数字の更新間隔は提供元によって異なります。たとえば南都銀行のハードウェアトークンは「40秒ごとに切り替わる」数字6桁のキーホルダー型、郡山信用金庫のものは「30秒毎に新しいパスワードを発行する」数字6桁と説明されています。いずれも一定時間で無効になるため、仮に画面の数字を盗み見られても、有効な間に悪用される可能性は低く抑えられます。
ハードウェアトークンを使う目的は、ID・パスワードによる認証に「その場限りの数字」という二つ目の要素を加えることにあります。パスワードは漏えいや使い回しのリスクがつきまといますが、ワンタイムパスワードは一度使うと無効になり、次に有効な数字は物理デバイスを手元に持っている本人しか分かりません。
そのため、パスワードが第三者に知られても、デバイスがなければログインできず、なりすましによる不正アクセスを防ぎやすくなります。
出典・参考資料（2件）
ワンタイムパスワードが生成される仕組み
ここからは、ハードウェアトークンがどのようにして数字を生成しているのかを整理します。ワンタイムパスワードの生成方式には、大きく分けて次の3つがあります。
- 時刻同期方式（TOTP）：現在時刻を基準に数字を生成する方式です。一定の時間ごと（標準は30秒ごとで、製品により30〜60秒の場合もあります）に新しい数字へ切り替わります。IETFの技術仕様「RFC 6238」で定められており、銀行のハードウェアトークンで多く採用されています。
- イベント同期方式（HOTP）：時刻ではなく、ボタンを押した回数などのカウンタを基準に数字を生成する方式です。時計を持たなくても動作する点が特徴で、IETFの「RFC 4226」で定められています。
- チャレンジレスポンス方式：認証サーバーから提示された値（チャレンジ）に対して、デバイス側で計算した応答（レスポンス）を返す方式です。OATHの「OCRA（RFC 6287）」として規定されています。
これらの方式はいずれもOATHという業界団体が定めた標準規格です。なかでも時刻・カウンタ型のTOTPとHOTPは、デバイスと認証サーバーがあらかじめ共有した秘密の値をもとに数字を計算するため、ネットワークに接続していなくても、デバイス単体でワンタイムパスワードを生成できます。この「オフラインで動作する」性質が、通信を介した遠隔操作やマルウェアの影響を受けにくいという安全性につながっています。
TOTP・HOTPはデバイス単体で数字を計算できるため、電池で動く小型の端末に収められます。物理デバイスなので内蔵電池には寿命があり、数年ごとに交換ではなく新しいトークンへの切り替えが必要になりますが、寿命や交換費用の目安は後半の「発行手数料・電池寿命・交換の目安」で扱います。
出典・参考資料（3件）
ハードウェアトークンの種類・形状
ハードウェアトークンは、用途や携帯性に合わせていくつかの形状があります。代表的なものは次のとおりです。
- キーホルダー型：小型で鍵などと一緒に持ち歩きやすい形状です。ボタンを押すと液晶にワンタイムパスワードが表示されます。銀行のインターネットバンキング向けで広く使われています。
- カード型：キャッシュカードやクレジットカードのような薄い形状で、財布やカードケースに収めやすいのが特徴です。防水・防塵に対応したモデルもあります。
- キーパッド型：あらかじめ設定した暗証番号（PIN）を本体に入力してからワンタイムパスワードを生成するタイプです。デバイス単体が盗まれても、PINがなければ悪用しにくいため、高いセキュリティが求められる法人向けで採用されます。
これらのOTPを表示するトークンとは別に、USBやNFCで接続して使う「FIDOセキュリティキー」と呼ばれる物理デバイスもあり、同じ「ハードウェアトークン」という言葉でまとめて語られることがあります。ただし両者は仕組みが異なるため、次の項で整理します。
OATHのOTPトークンとFIDOセキュリティキー（YubiKey等）の違い
「ハードウェアトークン」と呼ばれる物理デバイスには、大きく系統の異なる2種類があります。混同すると製品選びを誤りやすいため、違いを押さえておきます。
- OATH準拠のOTPトークン：前述のTOTP・HOTPで、デバイスと認証サーバーが共有した秘密の値をもとに数字を生成します。銀行のキーホルダー型トークンが代表例です。読者はその数字を画面に打ち込んで認証します。
- FIDO2/U2Fのセキュリティキー：FIDOアライアンスが定める規格で、公開鍵暗号を用いてログインを行います。秘密鍵はデバイスの外に出ず、数字を手で入力する代わりに、キーをタッチするなどして認証します。YubiKeyなどが代表例です。
FIDOアライアンスは、FIDOの規格が「公開鍵暗号を用いてフィッシング耐性のある認証を提供する」と説明しています。数字を画面に入力するOTP方式と異なり、鍵ペアによる署名でログインするため、偽サイトに数字を入力させて盗み取るフィッシングに対して強い、という違いがあります。
同じ物理デバイスでも、共有秘密による「数字」を使うOATHのOTPトークンと、鍵ペアを使うFIDOのセキュリティキーは別系統だと理解しておくと、製品の比較がしやすくなります。
出典・参考資料（2件）
USBやNFCで接続するFIDOセキュリティキー（YubiKeyなど）そのものの仕組みや使い方、選び方をもっと詳しく知りたい場合は、以下の記事で解説しています。
セキュリティキーとは？2つの意味と仕組み・使い方・選び方をわかりやすく解説
アカウントのログイン画面やセキュリティ設定で「セキュリティキー」という言葉に出くわし、それが何を指すのか分からず調べていませんか。会社のシステムで導入を求められた担当者もいれば、証券口座やスマートフォンの設定をいじっていて目にした方もいるは…
ハードウェアトークンとソフトウェアトークンの違い
ワンタイムパスワードを生成する手段には、物理デバイスであるハードウェアトークンのほかに、スマートフォンの認証アプリで生成する「ソフトウェアトークン」があります。結論から言えば、スマートフォンを業務で普通に使える環境ならソフトウェアトークンで十分なことが多く、物理のハードウェアトークンが必要になるのは、スマホを使えない・持ち込めない場合が中心です。
両者は同じTOTPなどの仕組みで、方式そのものの安全性に大きな差はなく、差が出るのはコスト・運用・端末の管理といった実務面です。主な比較軸で整理すると次のとおりです。
| 比較項目 | セキュリティ | 初期・運用コスト | 管理の手間 | 紛失・電池・忘れのリスク | スマホ非所持・持ち込み禁止環境 | 利便性 |
|---|---|---|---|---|---|---|
| ハードウェアトークン | 秘密の値が端末内に留まり、ネット接続も不要なため、遠隔操作やマルウェアの影響を受けにくい | 人数分の端末購入と、電池切れ時の買い替えが発生する | 配布・在庫管理・回収といった物理的な運用が必要 | 紛失や電池切れのリスクがあり、数年ごとに買い替えが必要 | スマートフォンが不要なため、持ち込みが禁止された区画や未所持の従業員でも利用できる | 専用端末を取り出して数字を確認する手間がある |
| ソフトウェアトークン | スマートフォンがマルウェアに感染した場合、認証情報が狙われるリスクがある | アプリ自体は無料のものが多く、初期コストを抑えやすい | 利用者自身がアプリを導入でき、配布・回収の手間が少ない | 機種変更の際に再設定の手続きが必要 | スマートフォンが前提のため、非所持・持ち込み禁止の環境では使えない | 普段持ち歩くスマートフォンで完結する |
※上記は一般的な傾向です。製品・提供形態により実際の仕様は異なります。
ハードウェアトークンの端末単価は、提供元やモデル、契約する数によって幅があり、多くは要問い合わせ・見積もりとなります。まとめ買いやサブスク型の運用代行の有無によっても費用感が変わるため、具体的な金額は各サービスに確認してください。
ハードウェアトークンのメリット・デメリット
比較軸を踏まえると、ハードウェアトークンのメリットは、前述のオフライン動作による安全性の高さと、スマートフォンを使えない・持ち込めない環境でも運用できる点にあります。パスワードを覚える必要がなく、表示された数字を打ち込むだけで済む分かりやすさも利点です。
一方でデメリットは、人数分の端末を購入するコストと、配布・在庫・回収・買い替えといった物理的な管理の手間が発生することです。持ち歩く端末が増えるため、紛失や置き忘れ、電池切れへの備えも欠かせません。こうした運用負担とセキュリティ要件のどちらを重く見るかが、ソフトウェアトークンとの選択を分けます。
自社に合うのはどっち？選び方の条件分岐
ハードウェアトークンとソフトウェアトークンは一長一短で、どちらが優れているかは自社の環境によって変わります。判断に迷う場合は、次の条件に当てはまるかを確認すると方針を立てやすくなります。
- スマートフォンの持ち込みが禁止された区画がある：製造現場やデータセンター、コールセンターなど、スマートフォンを持ち込めない環境では、アプリ型が使えないためハードウェアトークンが選択肢になります。
- スマートフォンを支給していない従業員がいる：派遣社員や協力会社のスタッフ、シフト制の店舗スタッフなど、業務用スマートフォンを配布していない場合も、スマホに依存しないハードウェアトークンが向きます。
- 初期コストと管理の手間を抑えたい：従業員が業務用または私物のスマートフォンを使える環境であれば、アプリが無料で配布・回収の手間も少ないソフトウェアトークンがコスト面で有利です。
本社部門はアプリ型、工場や現場はハードウェアトークン、というように、部署や拠点の特性に合わせて両方を使い分ける「ハイブリッド運用」も現実的な選択肢です。どちらか一方に統一することにこだわらず、環境ごとに最適な手段を割り当てることで、セキュリティと運用負担のバランスを取りやすくなります。
実際の導入現場でも、こうしたスマートフォンに依存できない環境が、ハードウェアトークンを選ぶ主な動機になっています。多要素認証サービスを提供する企業への取材では、相談の背景として次のような状況が語られています。
最も多いのは、全社員へのスマートフォン支給が困難なケースです。派遣社員や協力会社のスタッフがシステムにアクセスする際の認証手段として活用されています。また、店舗やコールセンターなどのシフト制の現場において、IDとパスワードの管理負担を軽減しつつ、確実な本人認証を実現する手段としても選ばれています。近年はサプライチェーン対策としての需要も高まっています。経済産業省による新たなセキュリティ対策評価制度の開始を見据え、委託先の認証強化を急ぐ企業が増えています。
一括ダウンロードする
クラウドMFA（AWS・Microsoft Entra ID）での対応と使い方
法人でハードウェアトークンを多要素認証に使う場合、多くはクラウドのID基盤やMFAサービスと組み合わせて導入します。基本的な流れは、管理者がID基盤側にトークンのシード（デバイスと共有する秘密の値）を登録し、利用者がサインイン時に表示された数字を入力する、というものです。代表的なクラウドサービスであるAWSとMicrosoft Entra IDは、いずれも物理トークンによる認証に対応しています。
AWSは、IAMの多要素認証で「ハードウェアTOTPトークン」を正式にサポートしています。公式ドキュメントによると、物理デバイスがTOTPアルゴリズムに基づく6桁の数字を生成し、サインイン時にその数字を入力する方式です。
あわせて、FIDO規格に基づくセキュリティキー（YubiKeyなど）にも対応しており、TOTPトークンとFIDOセキュリティキーは別の認証手段として並びます。
Microsoft Entra IDは、検証方法の一つとして「OATHハードウェアトークン」に対応しています。ただし公式ドキュメント（2025年3月時点）では、この機能はプレビュー段階として案内されており、対応するのはOATH TOTPのみで、OATH HOTPには対応していません。利用できるのは、30秒または60秒ごとにコードを更新するトークンです。
導入を検討する際は、最新のドキュメントで提供状況を確認することをおすすめします。FIDO2のセキュリティキーによるパスワードレス認証については、すでに一般提供されています。
出典・参考資料（2件）
ハードウェアトークンを提供・管理する主なサービス
ここからは、ハードウェアトークン（物理セキュリティキーやOATHのOTPトークン）を実際に提供・管理できる主なサービスを紹介します。物理キー本体を供給するサービスから、トークンを含む複数の認証方式を束ねて全社のMFA基盤を構築するサービスまで、役割はさまざまです。まずは全体像を比較表で確認してください。
| サービス名 | YubiKey as a Service | CloudGate UNO | SafeNet Trusted Access（STA） | RSA ID Plus（SecurID） | Entrust Identity | Microsoft Entra ID（旧 Azure AD） | 飛天ジャパン（FEITIAN Japan） | OneSpan Digipass |
|---|---|---|---|---|---|---|---|---|
| 提供形態 | 物理セキュリティキー（YubiKey） | 統合MFA基盤（ゼロトラストSSO/IDaaS） | 統合MFA基盤（IDaaS） | 統合MFA基盤（IAM） | 統合MFA基盤（IAM/IDaaS） | 統合MFA基盤（クラウドIAM） | トークンメーカー＋認証基盤 | トークンメーカー＋認証プラットフォーム |
| 対応トークン種別 | FIDO2セキュリティキー （YubiKey 5シリーズ・Security Key・YubiKey Bio） | FIDO2セキュリティキー （YubiKey等のUSB/カード型。Super Secure PackでUSBキーのサブスク付帯） | OATH OTPトークン（カード/キーホルダー型）・FIDOデバイス・PKI USBトークン/スマートカード | OATH HOTPトークン・RSAハードウェアOTPトークン（60秒更新）・FIDO2セキュリティキー（DS100/iShield Key 2） | OATH OTPトークン・FIDO2セキュリティキー・PKIスマートカード・モバイルスマートクレデンシャル | FIDO2セキュリティキー・OATHハードウェアトークン（プレビュー）※いずれも他社製を利用 | FIDO2/U2Fセキュリティキー（ePass FIDO）・OATH OTPトークン（キーホルダー/カード/QR型）・PKI USBトークン（ePass2003） | OATH OTPトークン（ワンボタン型 GO 6/7）・FIDO2セキュリティキー（FX1/FX7）・カードリーダー型・ソフトトークン |
| 主な対応認証規格 | FIDO2/WebAuthn・FIDO U2F・PIV・OpenPGP・OATH OTP（TOTP） | FIDO2/WebAuthn（パスキー）・生体認証・OTP | OATH OTP・FIDO（U2F/パスキー）・PKI（X.509証明書）・パターン/グリッド・OOB | OATH HOTP・FIDO2/WebAuthn・FIDO U2F・OTP（SMS/音声） | FIDO2/パスキー・OTP・PKI（証明書認証）・グリッドカード | FIDO2/パスキー・OATH TOTP・証明書ベース認証 | FIDO2・FIDO U2F・OATH TOTP/HOTP・PKI（X.509/スマートカード） | OATH TOTP/HOTP・FIDO2・視覚的トランザクション署名（Cronto） |
| 提供・管理形態 | サブスクリプション運用代行 （キッティング・バックアップキー同梱・CSM導入支援込み） | クラウド（IDaaS）ライセンス （ユーザー単位サブスク） | クラウド（IDaaS）ライセンス＋トークン別途購入 | ライセンス（クラウド/ハイブリッド/オンプレ。国内代理店経由） | ライセンス（クラウドIDaaS/オンプレEnterprise。国内は個別見積もり） | クラウド（IDaaS）ライセンス（Free/P1/P2） | トークン販売（日本総代理店）＋クラウド（らく認2）/オンプレ（FOAS） | トークン販売（国内代理店テリロジー経由）＋認証プラットフォーム（オンプレ/クラウド） |
| 主な用途 | スマホを支給/持ち込めない現場（医療・製造・コールセンター等）のフィッシング耐性MFA | SSO・アクセス制限と一体で全社の認証基盤を構築 | SaaS・VPN・VDI・オンプレを含むハイブリッド環境のアクセス保護 | 政府・金融など高保証・規制対応が求められる組織の認証基盤 | PKI証明書認証と高保証MFAを単一ベンダーで統合したい組織 | M365/Windows/Azure既存環境に統合したMFA・条件付きアクセス | スマホ非携帯者向けを含む幅広い現場の多要素認証 | 金融機関のインターネットバンキング認証・トランザクション署名 |
| 料金 | 要問い合わせ （サブスク・ユーザー単位、200ライセンスから） | 月額400〜600円/ユーザー （税抜。Super Secure Packは要問い合わせ） | 要問い合わせ （トークンは別途デバイス費用） | 目安 $3〜$7/月・ユーザー （プラン別。日本価格は代理店見積もり） | 要問い合わせ （個別見積もり） | Free（M365/Azure付帯）〜 P1 899円・P2 1,349円 （ユーザー/月相当・年払い。公式は税区分未明示） | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式サイト |
※上記は各社公式情報にもとづく2026年9月時点の情報です。料金・仕様は変更される場合があるため、最新情報は各社にご確認ください。
1. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
Yubico社の物理セキュリティキー「YubiKey」を、サブスクリプション型で法人向けに導入できるサービスです。物理キー本体はFIDO2/WebAuthn・PIV・OATH OTPなど複数の規格に対応します。さらに初期設定（キッティング）の代行、故障・紛失時のバックアップキー同梱、専任担当による導入支援までを含む運用代行型で提供します。
物理キーを買い切りで調達するのではなく運用費として導入できるため、初期費用を抑えやすい点が特徴です。スマートフォンを使えない・持ち込めない現場でも利用でき、介護施設向けの導入事例では、従来30〜40秒かかっていたログインを10秒未満へ短縮したと報告されています。
出典・参考資料（1件）
2. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
シングルサインオン（SSO）・多要素認証・アクセス制限・ID管理を統合した、クラウド型のID管理基盤です。2019年から日本発のFIDO2準拠パスワードレス認証を提供しており、全プランでパスキー（FIDO2）認証を利用できます。
YubiKeyなどの物理セキュリティキーと組み合わせることで、全社員へのスマートフォン支給が難しい環境でも強固な多要素認証を全社的に展開できます。ハードウェアトークンそのものというより、トークンを「管理・運用する側」の基盤として選ばれるサービスです。
3. SafeNet Trusted Access（タレスDISジャパン株式会社）
決済カードやハードウェアセキュリティモジュールなど、物理セキュリティ・暗号の領域で長い実績を持つThalesが提供する、SSO・多要素認証・条件付きアクセスを統合したクラウド型のアクセス管理サービスです。SafeNetブランドのハードウェアOTPトークン・PKI USBトークン・スマートカードを幅広くそろえており、物理トークンの選択肢の多さが特徴です。
OTP・プッシュ・FIDO・PKI証明書など多様な認証方式に対応し、SaaSだけでなくVPNやオンプレミスのアプリケーションも保護対象に含められます。高いセキュリティ要件を持つ大企業や規制業種で選択肢になりやすいサービスです。
4. RSA ID Plus（SecurID）（RSA Security）
ハードウェアトークンによるワンタイムパスワード認証を源流とする、老舗の多要素認証製品です。1990年代からのSecurIDハードウェアトークンを起点に、現在はクラウド型の「ID Plus」とオンプレミス型の「SecurID」、両者を組み合わせるハイブリッド構成を提供しています。
ハードウェアトークン・ソフトウェアトークン・FIDO2/パスキー・生体認証まで幅広い方式に対応し、政府機関や金融など、調達基準の厳しい高セキュリティ要件の組織向けに位置づけられています。オンプレミス資産を持つ大企業が段階的にクラウドへ移行する構成にも適しています。
5. Microsoft Entra ID（日本マイクロソフト株式会社）
Microsoft 365やAzureのサインイン基盤であり、ID管理の一機能として多要素認証（Microsoft Entra MFA）を提供します。Microsoft 365を利用している組織であれば、追加の製品導入なしにMFAや条件付きアクセスを有効化できる点が、専業の認証製品との違いです。
検証方法として、パスキー（FIDO2）セキュリティキーや、OATHハードウェアトークン（プレビュー、OATH TOTPのみ対応）などを選べます。無償版でも基本的なMFAを利用でき、上位プランでは、場所やデバイス、サインインリスクに応じて追加認証を求める条件付きアクセスやリスクベースの制御を段階的に追加できます。
6. 飛天ジャパン（FEITIAN Japan）
FEITIAN Technologiesの日本総代理店を務める、ハードウェアトークン専業のベンダーです。OATH準拠のハードウェアOTPトークン、FIDO2/U2F対応のセキュリティキー（ePass FIDOシリーズ）、PKI対応USBトークンを自社で供給しています。キーホルダー型・カード型・QRコード読取型など、スマートフォンに依存しない認証手段を複数そろえています。
トークンを組み合わせて認証基盤を構築するクラウド認証サービス「らく認2」や、オンプレミス認証サーバ「FOAS」も提供しており、既存システムの認証方式に合わせて選べます。物理トークン本体からサーバ側の仕組みまでを一貫して扱える点が特徴です。
7. OneSpan Digipass（OneSpan Inc.）
ワンタイムパスワード生成に特化したワンボタン認証器「Digipass GO」シリーズを主力とする提供元です。トランザクション署名認証器、カードリーダー型、FIDO2セキュリティキー（Digipass FXシリーズ）、スマートフォンアプリ型のソフトウェアトークンまで、形の異なる認証器を単一ブランドでそろえています。
ハードウェアトークンはOATH標準（HOTP/TOTP）に準拠しており、多くの認証サーバーと組み合わせて利用できます。金融機関のインターネットバンキング向けの認証で広く使われてきました。日本では株式会社テリロジーが販売・サポートを担っています。
ここで紹介したのは、ハードウェアトークンに対応する製品の一部です。トークンの種類だけでなく、認証方式や料金を含めて多要素認証システム全体を比較検討したい場合は、以下の記事で主要サービスをタイプ別・横並びで整理しています。導入を検討される方はあわせてご覧ください。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
銀行から配られるハードウェアトークン（申込・登録・紛失時のポイント）
ハードウェアトークンは、法人のMFA基盤として導入するだけでなく、銀行のインターネットバンキングでも広く使われています。銀行から配られる（または申し込む）トークンについて確認しておきたいポイントを整理します。
申込方法・手数料・利用登録の手順・紛失時の対応は、金融機関ごとに異なります。多くの銀行・信用金庫では、トークン裏面に記載されたトークンIDと、画面に表示されたワンタイムパスワードを使って初回の利用登録を行います。たとえば南都銀行のハードウェアトークンでは、裏面のトークンID12桁を利用登録に使う手順が案内されています。
自分が使う金融機関の公式ページで、登録手順と手数料を確認してから手続きするのが確実です。
発行手数料・電池寿命・交換の目安
発行手数料や電池寿命は金融機関・製品によって異なりますが、目安として、実際に公開されている値を確認しておくと見当がつきます。たとえば郡山信用金庫は、ハードウェアトークンの新規発行・再発行（電池切れ・故障・紛失等）を「1,100円（税込）」とし、初期不良の場合のみ発行から1年間は無料で交換すると案内しています。
電池寿命は「約5年程度（ご利用頻度により異なります）」で、電池が切れた場合は交換ではなく新しいトークンへの切り替えになります。
また、スマートフォンを持っている場合は、無料で使えるソフトウェアトークンを勧める金融機関もあります。更新間隔も、郡山信用金庫は30秒ごと、南都銀行は40秒ごとと差があります。あくまで金融機関・製品ごとに条件は異なるため、これらの数値は目安として捉え、実際の費用や仕様は利用先の公式情報で確認してください。
出典・参考資料（2件）
まとめ
ハードウェアトークンは、ワンタイムパスワードを生成する専用の物理デバイスで、パスワードが漏れても不正ログインされにくい二段構えの認証を実現します。仕組みは時刻同期方式（TOTP）が主流で、ネット接続なしにデバイス単体で数字を生成できる点が安全性につながっています。
スマートフォンのアプリで代替するソフトウェアトークンと比べると、コストや管理の手間はかかる一方、スマホを使えない・持ち込めない環境でも運用できる強みがあります。
法人で導入する場合は、AWSやMicrosoft Entra IDなどのクラウド基盤や、トークンを提供・管理するMFAサービスと組み合わせるのが一般的です。自社の環境（スマートフォンの支給状況・持ち込み禁止区画の有無・コスト）に照らして、ハードウェア・ソフトウェア・両者のハイブリッドのいずれで進めるかの当たりをつけ、具体的なサービスの比較・資料請求へと進めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ハードウェアトークンとは何ですか？
A. ハードウェアトークンとは、ログインのたびに変わる使い捨てのパスワード（ワンタイムパスワード）を生成する専用の物理デバイスです。多くはキーホルダー型やカード型で、ボタンを押すと液晶画面に6桁の数字が表示され、30〜60秒などの一定時間ごとに切り替わります。
ID・パスワードに加えて「その場限りの数字」で本人確認を行うため、仮にパスワードが漏れても、デバイスを持つ本人でなければログインできず、不正アクセスを防ぎやすくなります。
Q. ハードウェアトークンとソフトウェアトークンはどちらが安全ですか？
A. ハードウェアトークンは、秘密の値が端末内に留まりネット接続も不要なため、スマートフォン経由の遠隔操作やマルウェアの影響を受けにくい点で、ソフトウェアトークンより堅牢とされます。ただしソフトウェアトークンも同じTOTPなどの仕組みで生成されるため、方式そのものの強度に大きな差はありません。
スマートフォンを適切に管理できる環境ならソフトウェアトークンでも十分な強度を確保でき、どちらが安全かは「端末をどう管理・運用できるか」という環境要因で決まります。
Q. スマートフォンがなくてもハードウェアトークンは使えますか？
A. ハードウェアトークンは、スマートフォンを一切必要としない独立した物理デバイスのため、スマホを持たない・持ち込めない環境でも利用できます。これはソフトウェアトークン（スマホアプリ）にはない最大の利点で、製造現場やデータセンター、コールセンターなどスマートフォンの持ち込みが禁止された区画や、業務用スマートフォンを支給していない従業員がいる職場で特に有効です。
Q. ハードウェアトークンの電池が切れたらどうなりますか？
A. ハードウェアトークンの電池が切れた場合は、多くの製品で電池交換はできず、新しいトークンへの切り替え（再発行）が必要になります。電池寿命は利用頻度によりますが、約5年程度が一つの目安です。たとえば郡山信用金庫は電池寿命を「約5年程度」とし、電池切れ時の再発行手数料を1,100円（税込）と案内しています。法人で導入する際は、この買い替えサイクルと費用も運用コストに見込んでおくと安心です。
出典・参考資料（1件）
Q. ハードウェアトークンを紛失したらどうすればよいですか？
A. ハードウェアトークンを紛失したら、まず発行元（銀行やシステム管理者）へ速やかに連絡し、利用停止と再発行の手続きを行います。ワンタイムパスワードはID・パスワードと組み合わせて初めて認証が通るため、トークン単体を拾われても即座に不正ログインされるわけではありませんが、悪用を防ぐため早期の連絡が重要です。
銀行の場合、再発行には手数料（例：郡山信用金庫は1,100円税込）がかかることが多く、法人利用ではキーパッド型（PIN入力式）を選ぶと、紛失時に第三者が使いにくくなります。
Q. 法人でAWSやMicrosoft Entra IDの多要素認証にハードウェアトークンを使えますか？
A. AWS・Microsoft Entra IDのいずれもハードウェアトークンによる多要素認証に対応しています。AWSはIAMの多要素認証で「ハードウェアTOTPトークン」を正式にサポートしています。
Microsoft Entra IDは検証方法の一つとして「OATHハードウェアトークン」に対応しますが、公式ドキュメント（2025年3月時点）ではプレビュー段階で、対応するのはOATH TOTPのみ（HOTPは非対応）と案内されています。導入前に最新のドキュメントで提供状況を確認することをおすすめします。
出典・参考資料（2件）
Q. YubiKeyもハードウェアトークンの一種ですか？
A. YubiKeyなどのFIDOセキュリティキーは物理デバイスという点では同じですが、銀行で使われる数字表示型のOTPトークンとは仕組みの異なる別系統の認証デバイスです。数字を画面に表示して手で入力するOATH準拠のOTPトークンに対し、YubiKeyは公開鍵暗号を用い、キーをタッチするなどして認証します。
秘密鍵がデバイスの外に出ず、偽サイトに数字を入力させて盗むフィッシングに強いのが特徴です。どちらも「ハードウェアトークン」と呼ばれることがあるため、製品選定の際は数字入力型（OATH）か鍵ペア型（FIDO）かを区別しておくと混同を避けられます。
多要素認証（MFA）システムの料金・手数料を一括チェック
MCB FinTechカタログでは、多要素認証（MFA）システムの最新資料をまとめてダウンロードできます。ハードウェアトークンをはじめとする各サービスの料金・対応方式・サポート内容を比較し、自社に合う認証手段を検討する際にご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
